দুর্বলতা যা Chrome অ্যাড-অনকে অনুমতি থাকা সত্ত্বেও বাহ্যিক কোড চালানোর অনুমতি দেয়

প্রকাশিত একটি পদ্ধতি যা যেকোন ক্রোম অ্যাড-অনকে অ্যাড-অন বর্ধিত অনুমতি না দিয়ে (manifest.json-এ অনিরাপদ-ইভাল এবং অনিরাপদ-ইনলাইন ছাড়া) বাহ্যিক জাভাস্ক্রিপ্ট কোড চালানোর অনুমতি দেয়। অনুমতিগুলি বোঝায় যে অনিরাপদ-ইভাল ছাড়াই অ্যাড-অন শুধুমাত্র স্থানীয় বিতরণে অন্তর্ভুক্ত কোডটি কার্যকর করতে পারে, তবে প্রস্তাবিত পদ্ধতিটি এই সীমাবদ্ধতাকে বাইপাস করা এবং অ্যাড-এর প্রসঙ্গে একটি বহিরাগত সাইট থেকে লোড করা যে কোনও জাভাস্ক্রিপ্ট চালানো সম্ভব করে তোলে। চালু.

Google বর্তমানে সর্বজনীন অ্যাক্সেস বন্ধ করে দিয়েছে সমস্যা রিপোর্ট, কিন্তু সংরক্ষণাগার মধ্যে রক্ষিত সমস্যাটি কাজে লাগাতে নমুনা কোড। পথ অনুরূপ CSP-তে script-src 'self' সীমাবদ্ধতাকে বাইপাস করার একটি পদ্ধতি এবং document.createElement('script') এর মাধ্যমে একটি স্ক্রিপ্ট ট্যাগ প্রতিস্থাপন করার জন্য এবং ফেচ ফাংশনের মাধ্যমে এতে বাহ্যিক বিষয়বস্তু অন্তর্ভুক্ত করে, তারপরে কোডটি কার্যকর করা হবে অ্যাড-অনের প্রসঙ্গ।

উত্স: opennet.ru